組織が力量を決定する対象として、規格が指定しているのはどれか。

情報セキュリティリスク対応計画に含めるべき事項として、誤っているものはどれか。